ASP.NET Core 2.0未授权重定向仅用路径问题：HTTPS反向代理协议错误

这问题我在AWS ELB搭配后端服务的架构里碰过好多次！你猜的完全没错——核心原因就是后端服务器没察觉到用户发起的是HTTPS请求：因为ELB和服务器之间走的是纯HTTP，服务器收到的请求协议是http，生成重定向URL时自然就用了http开头。

下面是几个靠谱的解决步骤：

• 第一步：确保ELB传递X-Forwarded-Proto请求头
  AWS的ELB默认会把用户原始请求的协议（http/https）塞进X-Forwarded-Proto头里，不过你要确认这个头没有被中间的代理（比如Nginx、Apache）给过滤掉。如果用Nginx做后端的反向代理，得在配置里明确把这个头传给应用：

  location / {
      proxy_set_header X-Forwarded-Proto $http_x_forwarded_proto;
      # 其他代理配置...
  }
  

• 第二步：让你的应用识别并信任X-Forwarded-Proto头
  不同框架的配置方式略有不同，举几个常见的例子：

  • ASP.NET/.NET Core：在Startup.cs里添加转发头中间件，同时要信任ELB的IP范围防止头伪造：

    public void ConfigureServices(IServiceCollection services)
    {
        services.Configure<ForwardedHeadersOptions>(options =>
        {
            options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
            // 添加ELB的IP段到信任列表，比如AWS的ELB私有地址范围
            options.KnownProxies.Add(IPAddress.Parse("10.0.0.0/8"));
        });
    }
    
    public void Configure(IApplicationBuilder app)
    {
        app.UseForwardedHeaders(); // 这个要放在其他中间件之前
        // 其他配置...
    }
    

  • Java Spring Boot：在application.properties里开启原生转发头支持：

    server.forward-headers-strategy=NATIVE
    

  • Python Django：在settings.py里设置：

    SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
    

• 第三步：验证配置效果
  可以在后端应用里打印请求头，确认X-Forwarded-Proto的值是https；然后测试未认证用户的跳转，检查响应的Location头是否已经变成https://my.server.com/Account/Login?ReturnUrl=%2F。

额外提醒：千万别硬编码协议为https，依赖转发头的方式更灵活，后续如果架构调整（比如加CDN）也不会出问题。另外要确保ELB的安全组允许和服务器的HTTP通信，且没有其他中间设备修改或删除X-Forwarded-Proto头。

内容的提问来源于stack exchange，提问作者aljo f